- SAP publica 28 notas de seguridad y cuatro fallas críticas en agosto.
- Vulnerabilidad máxima (CVSS 10) en SAP Commerce Cloud.
- Fallos de inyección de código en MII y corrupción de memoria en ABAP.
- Recomendación de aplicar parches con urgencia.
SAP ha publicado su ronda mensual de parches de seguridad correspondiente a agosto, con un total de 28 notas nuevas y dos actualizaciones a notas previas. Entre ellas, cuatro fallas de severidad crítica que podrían permitir a atacantes remotos ejecutar código arbitrario en sistemas afectados. La más grave, identificada como CVE-2026-58231, afecta a SAP Commerce Cloud y ha recibido la puntuación máxima de 10 en la escala CVSS v3.1.
Esta vulnerabilidad, presente en el componente Data Hub Adapter, permite a un actor malicioso no autenticado enviar peticiones manipuladas para comprometer por completo la confidencialidad, integridad y disponibilidad del entorno. Además, se han corregido otras dos fallas críticas de inyección de código en SAP Manufacturing Integration and Intelligence (MII) y una corrupción de memoria en Application Server ABAP para NetWeaver y ABAP Platform.
Detalle de las vulnerabilidades corregidas
La falla en SAP Commerce Cloud (CVE-2026-58231) es la más preocupante, ya que su explotación no requiere autenticación y podría dar lugar a una toma de control total del sistema. Según la firma de seguridad Onapsis, los servlets vulnerables en SAP MII (CVE-2026-44772 y CVE-2026-44758) permiten a un atacante enviar entradas manipuladas para ejecutar comandos arbitrarios en el servidor, comprometiendo toda la infraestructura. Por su parte, la corrupción de memoria en Application Server ABAP (CVE-2026-34265) se origina en errores lógicos en el análisis del protocolo DIAG y puede explotarse sin autenticación para exponer información sensible o provocar la caída del sistema.
SAP no ha reportado explotación activa de ninguna de estas vulnerabilidades, pero recomienda encarecidamente a los clientes que apliquen los parches con prioridad. La compañía ha actualizado también una nota crítica publicada en julio para resolver otra falla de corrupción de memoria en NetWeaver Application Server ABAP, y ha lanzado ocho notas por fallas de severidad alta en productos como ABAP Developer Tools, Commerce Cloud, Change and Transport System, BusinessObjects y Business AI Platform.
Recomendaciones para los clientes
Los administradores de sistemas SAP deben revisar el portal de soporte de SAP y aplicar las actualizaciones correspondientes a la mayor brevedad posible. Especialmente en entornos que utilicen SAP Commerce Cloud, SAP MII o NetWeaver/ABAP Platform, ya que las vulnerabilidades críticas podrían ser explotadas de forma remota sin necesidad de credenciales. SAP ha habilitado un aviso adicional en GitHub y recomienda seguir las instrucciones de las notas de seguridad para mitigar los riesgos.
Además, se aconseja monitorizar los sistemas en busca de actividad sospechosa y mantener actualizados todos los componentes de la plataforma. La colaboración entre SAP y la comunidad de seguridad ha sido clave para identificar y corregir estas fallas antes de que se conviertan en incidentes reales.
La ronda de parches de agosto de SAP aborda vulnerabilidades críticas que podrían comprometer seriamente la seguridad de las empresas que utilizan sus soluciones. La rápida aplicación de las actualizaciones es esencial para protegerse contra posibles ataques. Con estas correcciones, SAP refuerza su compromiso con la seguridad de sus clientes y la integridad de sus plataformas.
